Корпоративный Wi-Fi WPA Enterprise с 802.1X и RADIUS
Продвинутое4 минРедакция Innovialabs
Коротко
WPA Enterprise заменяет один общий пароль личными учётными данными или сертификатами, которые через 802.1X проверяет RADIUS-сервер: можно отключить одного человека, видеть, кто подключён, и отправить каждого в нужный VLAN.
Почему общий пароль от Wi-Fi перестаёт работать
В режиме WPA2/WPA3-Personal у всех один и тот же ключ. Для пары человек это нормально, но с ростом офиса проблемы накапливаются:
- Когда сотрудник уходит, отключить его можно только сменой пароля на всех устройствах.
- В логах видны MAC-адреса, а не люди — непонятно, кто был в сети.
- Пароль расходится по чатам, стикерам и телефонам гостей.
- В WPA2-Personal тот, кто знает ключ и перехватил handshake устройства, может расшифровать его трафик.
- Все попадают в один сегмент сети независимо от роли.
WPA Enterprise решает это: каждый пользователь или устройство проходит отдельную проверку через 802.1X, а RADIUS-сервер решает, кого пускать и с какими настройками.
Как работает 802.1X
Есть три роли:
- Supplicant — ноутбук или телефон.
- Authenticator — точка доступа (или порт коммутатора при проводном 802.1X).
- Authentication server — RADIUS-сервер.
Порядок такой:
- Клиент подключается к SSID. Точка доступа блокирует весь трафик, кроме сообщений EAP.
- Точка упаковывает EAP-сообщения клиента в RADIUS-запросы и пересылает серверу. Сама она пароли не проверяет.
- Клиент и сервер проходят метод EAP, обычно внутри TLS-туннеля.
- При успехе сервер отвечает Access-Accept с ключевым материалом и, при необходимости, атрибутами — например, номером VLAN.
- Клиент и точка доступа получают уникальные ключи шифрования для этой сессии.
Какой метод EAP выбрать
| Метод | Что предъявляет пользователь | Плюсы | Минусы |
|---|---|---|---|
| EAP-TLS | Клиентский сертификат | Самый надёжный, нет паролей для кражи | Нужен центр сертификации и способ раздавать сертификаты (MDM, групповые политики) |
| PEAP-MSCHAPv2 | Логин и пароль | Просто, работает с Active Directory | Безопасен, только если клиенты проверяют сертификат сервера |
| EAP-TTLS/PAP | Логин и пароль | Работает с LDAP и другими каталогами | То же требование проверять сертификат сервера |
Главное для парольных методов: клиент должен проверять сертификат сервера (доверенный CA и ожидаемое имя сервера). Иначе злоумышленник поднимет поддельную точку с тем же SSID и соберёт учётные данные. Современные ОС всё чаще не дают подключиться без этой настройки — и это правильно.
Практичное правило: для людей начните с PEAP или TTLS, для корпоративных ноутбуков запланируйте EAP-TLS.
Варианты RADIUS-сервера
- FreeRADIUS — open source, работает на Linux, очень гибкий, настраивается текстовыми файлами.
- Microsoft NPS — роль Windows Server, естественный выбор, если уже есть Active Directory.
- Встроенный RADIUS в контроллерах Wi-Fi, роутерах или NAS — хватает небольшому офису с простым списком пользователей.
- Облачные RADIUS-сервисы — управляемые, часто интегрируются с облачными каталогами и раздачей сертификатов.
Выбирайте по тому, где живут учётные записи, нужны ли сертификаты, и по отказоустойчивости: два RADIUS-сервера лучше одного, потому что без RADIUS никто не подключится.
Выдача VLAN каждому пользователю
RADIUS может сообщить точке доступа, в какой VLAN поместить пользователя. Для этого используются три стандартных атрибута:
"anna" Cleartext-Password := "test-only"
Tunnel-Type = VLAN,
Tunnel-Medium-Type = IEEE-802,
Tunnel-Private-Group-Id = "20"
Это формат файла users во FreeRADIUS — годится для стенда; в рабочей среде группы берут из каталога, а не хранят пароли в файле. При PEAP или TTLS проверьте, что атрибуты из внутренней аутентификации попадают во внешний ответ — как это настраивается, зависит от версии сервера.
Чтобы динамические VLAN работали, точка доступа должна их поддерживать, а её порт на коммутаторе должен быть trunk со всеми VLAN, которые может вернуть RADIUS.
Чек-лист настройки
- Определитесь с каталогом пользователей и методом EAP.
- Выпустите сертификат сервера (внутренний CA или публичный) и установите RADIUS.
- Зарегистрируйте каждую точку доступа как RADIUS-клиента с длинным случайным shared secret.
- Создайте SSID с WPA2-Enterprise или WPA3-Enterprise и укажите RADIUS-сервер (порт 1812 для аутентификации, 1813 для accounting).
- Настройте VLAN и trunk-порты на коммутаторах.
- Раздайте управляемым устройствам профили Wi-Fi с CA и именем сервера.
- Проверьте на одной учётке: вход, VLAN, логи, затем отключите учётку и убедитесь, что доступ пропал.
Оставьте отдельный гостевой SSID и отдельный изолированный SSID для принтеров и IoT, которые не умеют 802.1X.
Частые ошибки
- Клиенты настроены без проверки сертификата сервера.
- Один RADIUS-сервер без резерва.
- Короткий, угадываемый shared secret.
- Неверное время на сервере — ломается проверка сертификатов.
- Истёкший сертификат сервера, который никто не заметил, — поставьте напоминание.
- Попытки перевести камеры и принтеры на корпоративный SSID.